CVE-2026-90702: Kritisk fejl i D-Link DWR-M921 router
D-Link DWR-M921 router med firmware 1.1.52 har en kritisk sårbarhed, der lader en logget-ind administrator køre systemkommandoer på routeren.
Hvad er det?
CVE-2026-90702 er en sårbarhed i D-Link DWR-M921 routere med firmware version 1.1.52. Fejlen sidder i funktionen system i filen /boafrm/formDiskFormat, hvor parameteren partition ikke bliver renset ordentligt, før den bruges i en systemkommando. Det gør det muligt at injicere egne kommandoer i styresystemet, en teknik kaldet kommandoinjektion. Der findes allerede offentliggjort kode, som viser, hvordan fejlen kan udnyttes.
Hvem rammer det?
Sårbarheden rammer virksomheder og institutioner, der bruger D-Link DWR-M921 routere med firmware 1.1.52, typisk til mobilt bredbånd eller som backup-internetforbindelse. Det gælder blandt andet mindre kontorer, filialer, butikker og kommunale enheder, hvor routeren har en administrationsside, der kan nås fra netværket.
Hvad kan ske?
En angriber, der har fået adgang til routerens administrationsside, kan bruge sårbarheden til at køre vilkårlige kommandoer på selve enheden. Det giver mulighed for at aflæse og omdirigere netværkstrafik, ændre indstillinger, installere skadelig kode eller bruge routeren som springbræt ind i det øvrige netværk. For en dansk virksomhed kan det betyde, at en kompromitteret router bliver indgangen til resten af it-miljøet.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke, at en bruger klikker på noget, og kan udføres over netværket. Til gengæld kræver det, at angriberen allerede har høje privilegier, altså en logget-ind konto på routerens administrationsside. Når det er opnået, giver sårbarheden fuld kompromittering af fortrolighed, integritet og tilgængelighed. En udnyttelseskode er offentliggjort, men der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I venter på en officiel firmwareopdatering:
- Undersøg om jeres D-Link DWR-M921 kører firmware 1.1.52, og tjek D-Links hjemmeside for en nyere version, der retter fejlen.
- Skift alle administrator-adgangskoder til routeren, og begræns antallet af medarbejdere med adgang til administrationssiden.
- Fjern administrationsgrænsefladen fra internettet, så den kun kan nås fra det interne netværk eller via VPN.
- Begræns adgangen til /boafrm/formDiskFormat og øvrige administrationsfunktioner med firewallregler, hvis routeren tillader det.
- Overvåg routerens logs for uventede kommandoer eller ændringer i konfigurationen.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan verificere firmwareversion eller opsætning, eller hvis routeren er kritisk for driften.
Opdatér eller isolér inden en uge
Vi anbefaler, at I straks tjekker firmwareversionen på jeres D-Link DWR-M921 og opdaterer, hvis D-Link har udgivet en rettelse. Er der ingen opdatering tilgængelig, bør I som minimum fjerne administrationsadgangen fra internettet og skærpe adgangskontrollen til kun betroede administratorer. Det er kun forsvarligt at vente, hvis routeren allerede er isoleret fra internettet og administrationssiden ikke kan nås udenfra.
Tidslinje
Konkrete eksempler
Backup-router bliver indgang til netværket
Et mindre dansk firma bruger en D-Link DWR-M921 som backup-internetforbindelse i en filial. En medarbejders administrator-adgangskode til routeren er tidligere blevet lækket via en phishing-mail. En angriber logger ind på routerens administrationsside og udnytter sårbarheden i formDiskFormat til at køre egne kommandoer, hvorefter routeren bruges som springbræt til at scanne og angribe det interne netværk.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger en D-Link DWR-M921 router med firmware version 1.1.52. Tjek modelnavn og firmwareversion i routerens administrationsside eller kontakt jeres it-leverandør for at få det bekræftet.
Kræver angrebet, at nogen klikker på noget?
Nej, angrebet kræver ikke, at en bruger klikker på et link eller åbner en fil. Det kræver dog, at angriberen allerede har adgang til routerens administrationsside med en gyldig konto.
Kan vi vente til weekenden med at rette det?
Det afhænger af, om administrationssiden er tilgængelig fra internettet. Er den det, bør I skride til handling samme dag. Er routeren isoleret og kun tilgængelig internt for få betroede administratorer, kan I vente til den ordinære opdateringscyklus.
Er sårbarheden udnyttet i praksis?
Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen, men der findes offentliggjort kode, som kan bruges til at udnytte fejlen, hvilket øger risikoen for angreb.
Skal vi anmelde dette til myndighederne?
Kun hvis I konstaterer, at sårbarheden faktisk er blevet udnyttet, og at persondata er blevet kompromitteret. I så fald skal I følge de almindelige regler i databeskyttelsesloven om anmeldelse til Datatilsynet.
Hvordan tjekker vi, om vores router er sårbar?
Log ind på routerens administrationsside og se firmwareversionen under systeminformation. Er det D-Link DWR-M921 med version 1.1.52, er den sårbar, og I bør følge handlingsplanen i dette dokument.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A flaw has been found in D-Link DWR-M921 1.1.52. Impacted is the function system of the file /boafrm/formDiskFormat. This manipulation of the argument partition causes os command injection. The attack may be initiated remotely. The exploit has been published and may be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.